Contrat de sous-traitance (art. 30)

Le client est responsable du traitement. Cognita GRC, Inc. agit en qualité de sous-traitant au sens de l’article 16, et n’intervient que sur instruction documentée du client.

Objet : la mise à disposition de la plateforme Conformia et les services associés souscrits.

Durée : celle de l’abonnement, augmentée de la période de réversibilité.

Nature et finalité : hébergement, structuration et conservation des registres, dossiers de formalités, preuves de consentement, demandes des personnes, évaluations et journal de preuve.

Catégories de personnes : clients, prospects, employés, usagers et partenaires du responsable de traitement.

Traiter les données uniquement sur instruction du client ; l’informer si une instruction lui paraît contraire à la loi.

Garantir la confidentialité des personnes autorisées à traiter les données et les soumettre à une obligation de confidentialité.

Mettre en œuvre les mesures de sécurité de l’article 27 : chiffrement en transit et au repos, contrôle d’accès individuel, journalisation des accès, sauvegardes testées, réversibilité.

Notifier au client toute violation de données sans délai après en avoir pris connaissance, avec les éléments permettant la notification prévue à l’article 22.

Assister le client dans les analyses d’impact, les demandes des personnes et les échanges avec l’Autorité.

Le client autorise le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité. Toute addition est notifiée avec un préavis raisonnable permettant au client de s’y opposer.

Le sous-traitant demeure pleinement responsable de l’exécution par ses sous-traitants ultérieurs.

La région d’hébergement retenue est indiquée au contrat. Tout transfert hors du Cameroun est subordonné aux garanties de l’article 32 : autorisation, clauses types et analyse d’impact du transfert, fournies au client.

À la fin du contrat, le client obtient sur demande l’export complet de ses données dans un format ouvert, accompagné du journal de preuve et de son script de vérification. Les données sont ensuite supprimées, sauvegardes comprises, dans les délais convenus.

Le client peut vérifier le respect du présent accord, une fois par an et à ses frais, sur préavis raisonnable, sans compromettre la sécurité des autres clients. Pour le secteur public, un droit d’audit de l’ANTIC peut être stipulé.